观点集锦 |《中国信息安全》软件供应链安全经验分享

软件供应链攻击虽然不直接攻击用户，但是能够通过破坏上游供应链对下游用户形成“隔山打牛”式攻击，且危害巨大。因此，在软件供应链各个环节开展安全评估，尽早发现其中的安全问题并采取有效的修复措施，才能最大限度避免安全事件的发生。

————2021年第10期

软件供应链攻击的成因主要在于在软件生命周期内被植入恶意代码所导致，从被攻击环节的角度考虑，软件供应链攻击主要在生产和运营两大环节产生。在国家层面，强化软件供应链安全体系建设，把软件供应链安全摆在突出位置，继续推进核心技术软件的可靠自主可控。在行业层面，强化安全意识，把安全落实到软件开发运营的整个流程。在社会层面，强化协调配合，形成多方参与的软件供应链安全保障格局。

————2018年第11期

发展软件安全工具相关技术软件供应链安全防护的落地离不开安全工具的发展使用。我们应大力发展软件安全工具技术，解决安全开发难点需求，进行安全前置，实现安全保护措施与软件设计、开发同步推进。

————2021年第10期

目前，关基行业软件供应链安全问题比较突出，因此要明确软件供应链主要参与方，并切实完善开发过程中的安全措施，尤其是在利用开源软件进行自主开发时，一定要加强开源代码的管理和防护，以防止出现卡脖子的情况。

————2023年第9期

通过对关键系统、网络产品和服务的安全风险进行评估和研判，推动安全关口前移，防患于未然。同时，加强关基供应链安全风险管控，提升关基网络的安全保障水平。

————2023年第9期

医疗机构在软件供应链安全上缺乏管理，较少开展软件供应链安全审查、源代码检测、自主可控度测评等工作，诸如 Apache Log4j2 漏洞引发的开源软件威胁事件难以预估。医疗机构需要开展数据安全供应链安全检查，从企业、产品、服务、人员多个维度查找风险隐患。

————2022年第7期